Reparar Check Point VPN: a conectividade com o serviço VPN perdeu-se

Conectar não faz nada e o cliente comunica que a conectividade com o serviço VPN se perdeu. Essa frase diz respeito à máquina à sua frente: o serviço por trás do túnel, o adaptador virtual onde assenta ou a instalação que liga os dois. Nada nela aponta para a gateway, pelo que reescrever o endereço do site ou a conta não muda nada. Leia-a como uma falha local e o espaço de pesquisa reduz-se.

Leia o erro como uma falha local

As rejeições do lado do servidor soam diferente: autenticação falhada, gateway inacessível, certificado inválido. Perder a ligação ao serviço significa que o cliente não consegue alcançar o seu próprio daemon, o que exclui a gateway, as credenciais e as regras da firewall logo na primeira hora. Copie a redação exata para as suas notas antes de tocar em nada, porque é essa cadeia que separa um serviço morto de uma recusa por política.

Depois disso restam apenas três suspeitos: serviços, controladores e o instalador.

Inicie todos os serviços Check Point, não apenas um

Abra services.msc e leia todas as entradas Check Point, não só aquela cujo nome aparece no erro. Uma instalação do Endpoint Security VPN regista várias, e uma única entrada parada ou desativada basta para impedir o cliente de se ligar. Inicie-as todas e, em seguida, passe as de que o cliente depende de Manual para Automático, porque um serviço Manual que falha a pedido reproduz o erro exatamente.

A cadeia de dependências importa tanto como os próprios serviços.

O DHCP Client atribui o endereço ao adaptador virtual e assenta, por sua vez, em três componentes: Network Store Interface Service, o controlador NetIO legacy TDI e o Ancillary Function Driver for Winsock. Pare o DHCP Client e o serviço VPN pode arrancar limpo enquanto o adaptador continua sem endereço. As atualizações de funcionalidades são o gatilho recorrente, porque podem devolver silenciosamente um serviço de terceiros a Manual ou Desativado. Depois de uma dessas atualizações, consulte o tipo de arranque em vez de decidir que a instalação está corrompida.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

Verifique a ligação do adaptador antes de reinstalar

Quando os serviços estão a funcionar e a mensagem persiste, olhe para o adaptador. Um adaptador pode estar presente e mesmo assim avariado, normalmente porque o controlador ao qual se liga não sobreviveu a uma atualização. Desativá-lo e voltar a ativá-lo é o teste barato, e o Gestor de dispositivos precisa de uma definição alterada antes de o dispositivo sequer ficar visível.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

Em Ver, escolha Mostrar dispositivos ocultos, abra Adaptadores de rede e localize o adaptador virtual Check Point. Desative-o e volte a ativá-lo, e depois tente uma ligação. Um badge de aviso, ou nenhuma entrada, significa que o controlador desapareceu e não que está em pausa.

Repare a instalação em vez de a remover

Em Programs and Features, clique com o botão direito em Check Point Endpoint Security VPN e escolha Repair. Essa única passagem volta a registar o serviço e o adaptador e deixa a configuração do site onde está. Instalar de raiz após uma desinstalação deita fora essa configuração e normalmente custa um reinício sem necessidade.

Se o Repair parar a meio, o registo de instalação indica o componente que recusou. Quando terminar, verifique se tanto o serviço como o adaptador voltaram antes de voltar a ligar; um adaptador que ainda traz um badge de aviso significa que o pacote do controlador nunca foi reinstalado, e o Repair sozinho não consegue corrigir isso.

Separe um problema de caminho de rede de um problema do cliente

Nem todos os casos são locais. Uma LAN empresarial que empurra o tráfego através de um proxy que autentica pode impedir o cliente de alcançar a gateway, enquanto o mesmo portátil se liga bem através de um hotspot do telemóvel. Se o hotspot funcionar, o cliente está saudável e o problema é do caminho do proxy.

Uma definição da BIOS que comuta os adaptadores de rede automaticamente também pode trocar a ligação por baixo do cliente. Desative-a apenas onde a máquina expõe realmente a opção, porque a maioria dos portáteis não o faz.

Ligue-se e confirme que o adaptador do túnel recebeu um endereço e que os serviços se mantiveram ativos antes de fechar o caso.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

Um túnel que aguenta um minuto e depois morre costuma apontar para o adaptador, ou para um produto de segurança que o inspeciona, e não para a conta. Agende um reinício após uma reparação de controlador ou MSI, porque é isso que reconstrui a ligação, e anote os tipos de arranque saudáveis enquanto tudo funciona, para que a próxima atualização tenha com que comparar.